販売部門は、二つの情報資産A・Bについて追加対策の優先順位を決めようとしている。社内方式は、事故が業務へ与える影響の評価 | 情報資産のリスク評価・対応計画 | 情報セキュリティマネジメント試験

問題 4 / 11あと 1 問で 40% の位置

中級情報資産のリスク評価・対応計画難易度目安約 62%

販売部門は、二つの情報資産A・Bについて追加対策の優先順位を決めようとしている。社内方式は、事故が業務へ与える影響の評価値と、被害発生可能性の評価値を掛けてリスク値を求め、高い方から対応を検討するものである。今回の調査では、被害発生可能性だけが評価済みで、Aは3、Bは2だった。どちらも数値が大きいほど発生可能性が高い。一方、業務への影響はまだ評価しておらず、両者が同じとも確認していない。担当者は「3は2より大きいので、追加調査をせずAを優先と確定できる」と報告した。この報告への対応として、最も適切なものはどれか。

キーボードで操作: 1 2 3 4 で選択← で前の問題

解答と解説を先に見る（クリックで展開）

正解: 4. 各資産の業務への影響も確認し、社内方式でリスク値を求めてから優先順位を検討する。

この会社の方式には、業務への影響と被害発生可能性の両方が必要です。今回は影響の値が未評価で、同じだとも確認できていません。発生可能性の3と2だけでは、会社の方式によるリスクの大小は確定できません。たとえば、仮に影響がAで1、Bで3なら、リスク値はAが1×3＝3、Bが3×2＝6となり、発生可能性だけを見た順序とは逆になります。この仮定は実際の評価結果ではありません。不足する影響を確認せず、どちらを優先するか推測で決めないことが要点です。

関連キーワード: リスク評価・業務への影響・発生可能性

解答すると次へ進めます